Tedarik zinciri siber saldırısı nedir? SolarWinds, MOVEit, XZ Utils ve savunma yansımaları

Tedarik zinciri siber saldırısı nedir?

Tedarik zinciri siber saldırısı, nihai hedef kuruma güvenilir bir üçüncü
taraf üzerinden ulaşan saldırı türüdür. Güvenilir taraf, hedefin
kullandığı bir yazılımın üreticisi, bir açık kaynak kütüphanenin bakımcısı,
bir donanım tedarikçisi, bir bulut hizmet sağlayıcısı ya da bir yönetilen
hizmet sağlayıcı (MSP) olabilir. Saldırgan, güvenilir tarafın sunduğu
bileşene, güncellemeye ya da yönetim erişimine sızarak hedef kurumun iç
ağına doğrudan bir “arka kapı” elde eder.

Klasik saldırıdan farkı, saldırganın kurum çevresindeki güvenlik
kontrollerini (güvenlik duvarı, e-posta ağ geçidi, oltalama farkındalığı)
atlaması gerekmemesidir; zararlı bileşen ya da erişim, kurumun kendisi
tarafından güvenilir olarak içeri alınır.

Neden bu kadar etkili?

• Katsayı etkisi (leverage): Tek bir tedarikçiye sızma yüzlerce ya
  da binlerce müşteriye ulaşabilir. SolarWinds ve Kaseya olayları bunun tipik
  örnekleridir.
• Güvenilir imza: Zararlı güncelleme çoğunlukla üreticinin geçerli
  kod imzasıyla dağıtılır. İmza kontrolü zararlıyı işaretlemez.
• Ayrıcalıklı erişim: Tedarikçi yazılımı sistem düzeyinde ya da
  etki alanı yönetici düzeyinde çalışır; ele geçirilen yazılım geniş
  ayrıcalıkla başlar.
• Uzun tespit süresi: Zararlı davranış, “meşru yazılımın davranışı”
  gibi görünür. Olayın fark edilmesi aylar sürebilir.
• Sınırlı öz kontrol: Kurum, tedarikçinin iç güvenlik olgunluğunu
  doğrudan denetleyemez; sözleşme ve sertifikasyona güvenmek zorundadır.

Tedarik zinciri saldırı türleri

Modern tedarik zinciri kampanyaları

• NotPetya (2017): Ukraynalı muhasebe yazılımı M.E.Doc’un
  güncelleme sunucusuna sızan aktörler, zararlı güncelleme dağıtımıyla küresel
  ölçekli yıkıcı saldırı gerçekleştirdi. Maersk, Merck ve pek çok kurum
  milyar dolarlık kayıp yaşadı.
• SolarWinds Sunburst (2020): APT29’a atfedilen kampanya, Orion
  güncellemesi üzerinden ABD federal kurumları dahil kritik hedeflere
  ulaştı. Tedarik zinciri riskini uluslararası siyaset gündemine
  yerleştirdi.
• Kaseya VSA (2021): REvil çetesinin MSP yönetim yazılımı üzerinden
  tek sızmayla yüzlerce müşteriye ulaşması; MSP kanalının fidye yazılımı
  için stratejik önemini gösterdi.
• 3CX (2023): Kuzey Kore bağlantılı aktörlerin masaüstü VoIP
  istemcisi güncellemesine zararlı kod eklemesi; “çift tedarik zinciri”
  (başka bir kurumun daha önce ele geçirilmiş kodu üzerinden) yapısı
  belirlendi.
• MOVEit Transfer (2023): Cl0p’un dosya transfer platformundaki
  zero-day zafiyeti üzerinden dünya çapında yüzlerce kurumdan veri
  sızdırması; kamu, sağlık ve finans sektörleri en çok etkilenen alanlar
  oldu.
• XZ Utils (Mart 2024): Açık kaynak sıkıştırma kütüphanesine iki
  yıla yayılan sosyal mühendislikle yerleştirilmiş arka kapının, kararlı
  dağıtım sürümlerine ulaşmadan bir araştırmacı tarafından keşfedilmesi;
  açık kaynak bakımcı devrinin risk yüzeyi gündemi meşgul etti.

Açık kaynak ve XZ Utils dersi

Modern yazılımın önemli bir bölümü açık kaynak bileşenler üzerine
kuruludur. Bir uygulamanın bağımlılık ağacı yüzlerce paketi ve on binlerce
dolaylı bağımlılığı içerebilir. Bu ağacın herhangi bir düğümünün ele
geçirilmesi, ağın altındaki tüm kurumları etkileyebilir.

XZ Utils olayı özellikle şu dersleri verdi:

• Kritik bir açık kaynak projesinin uzun süre tek bir bakımcı tarafından
  sürdürülmesi, sosyal mühendislik saldırısı için ideal bir yüzey
  oluşturmaktadır.
• Yeni bakımcılara yetki devri süreçleri, kod inceleme kadar
  kimlik doğrulama disiplini gerektirmektedir.
• Büyük Linux dağıtımlarının kararlı sürüm politikasının hızlı akış
  sürümlerine kıyasla ne kadar önemli bir güvenlik tamponu oluşturduğu
  görülmüştür.
• OpenSSF, GitHub Security ve Alpha-Omega gibi program ve fon
  girişimleri, kritik açık kaynak projelerin bakımcı sayısını ve güvenlik
  denetim kapasitesini artırmayı hedeflemektedir.

Savunma sanayiinde tedarik zinciri

Savunma sanayii için tedarik zinciri güvenliği, ürün güvenliği kadar
kritik bir konu hâline gelmiştir. Bir savaş uçağı, hava savunma sistemi ya
da insansız hava aracı; onlarca alt sistem, binlerce alt yüklenici ve
milyonlarca satır kodun bir araya gelmesiyle üretilir. Zincirin herhangi
bir halkasına yerleştirilen bir arka kapı, üretimden yıllar sonra sahada
ortaya çıkabilir.

Bu nedenle savunma tedarik zincirinde şu unsurlar öne çıkar:

• Alt yüklenici ve tedarikçi güvenlik olgunluk düzeyi
  değerlendirmeleri (ABD’de CMMC, NATO’da AQAP-2110 gibi çerçeveler).
• Kod imzalama anahtarlarının donanım güvenlik modülü (HSM) ile
  korunması.
• Kritik yazılımlar için yerli derleme altyapısı ve yeniden inşa
  edilebilirlik (reproducible builds).
• Çevrimdışı depolar ve iç ayna repolar.
• Yerli komponent stratejisi ve teknolojik egemenlik prensipleri
  (bkz.
  veri egemenliği
  ve
  dijital egemenlik).

Türkiye mevzuat çerçevesi

7545
sayılı Siber Güvenlik Kanunu, kritik altyapı işletmecileri ve kamu
kurumları için tedarikçi güvenlik değerlendirmesi ve siber olay
bildirimini zorunlu kılmıştır. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin
Bilgi ve İletişim Güvenliği Rehberi (BİGR); kamu kurumlarına yazılım
tedarik zinciri risk yönetimi, kod imzalama, güvenli geliştirme yaşam
döngüsü ve üçüncü taraf denetimi başlıklarında somut kontroller
tanımlamaktadır.

KVKK bakımından ise, veri işleyen üçüncü tarafın (bulut hizmet
sağlayıcısı, SaaS uygulaması, çağrı merkezi hizmet sağlayıcısı) siber
olay yaşaması, veri sorumlusunun bildirim yükümlülüğünü kaldırmaz;
tedarikçi risk yönetimi doğrudan KVKK uyumunun bir parçasıdır.

SBOM ve yazılım envanteri

SBOM (Software Bill of Materials, Yazılım Malzeme Listesi), bir
yazılımın içerdiği tüm bileşenlerin yapılandırılmış bir listesidir. SPDX
(Linux Foundation) ve CycloneDX (OWASP) yaygın standart biçimleridir.
Bir SBOM tipik olarak şu bilgileri barındırır:

• Bileşen adı ve sürümü,
• Bileşenin kaynağı (repo, paket yönetim sistemi),
• Lisans bilgisi,
• Hash / dijital parmak izi,
• Bağımlılık ilişkisi (doğrudan ya da dolaylı).

SBOM’un temel değeri, bir zafiyet duyurulduğunda kurumun etkilenen
bileşene sahip yazılımlarını dakikalar içinde çıkarabilmesidir.
Log4Shell (2021) gibi büyük olaylarda kurumların “acaba etkileniyor
muyum?” sorusuna hızla yanıt verebilmesi, doğrudan SBOM olgunluğuna
bağlıdır.

ABD Yürütme Emri 14028 (2021) sonrasında, federal kurumlara yazılım
tedarik edenlerin SBOM sağlaması yönünde belirgin bir eğilim ortaya
çıkmıştır. Avrupa’da NIS2 direktifi ve Cyber Resilience Act de benzer
yönde çerçeve oluşturmaktadır.

Tedarikçi güvenlik değerlendirmesi

1. Kritiklik sınıflandırması: Tedarikçilerin veriye erişim düzeyi,
   ayrıcalık genişliği ve iş sürekliliği açısından etkisi
   kategorilendirilir.
2. Öz değerlendirme (questionnaire): ISO 27001, SOC 2, CMMC, TSE
   gibi çerçeveler üzerinden sağlayıcının güvenlik olgunluğu incelenir.
3. Sözleşme kontrolleri: Olay bildirim süresi, sızma testi ve
   denetim hakkı, veri saklama süresi ve iade koşulları, alt yüklenici
   zinciri şeffaflığı ve sertifikasyon güncelliği sözleşmeye
   işlenir.
4. Teknik doğrulama: Sağlayıcının ürününün gerçekten iddia edilen
   güvenlik kontrollerini uyguladığı bağımsız test ile doğrulanır (sızma
   testi, konfigürasyon incelemesi).
5. Sürekli izleme: Sağlayıcının kamuya yansıyan siber olayları,
   kod imzalama sertifikası sağlığı, karanlık ağda sızıntı belirtileri
   izlenir.
6. Çıkış planı: Sağlayıcının aniden değiştirilmesi gerektiğinde
   verinin taşınması, kimlik entegrasyonlarının çözülmesi ve kritik iş
   akışının kesintisiz sürdürülmesi için yazılı plan hazır tutulur.

Kurumsal savunma katmanları

1. SBOM disiplini: Kurum içi geliştirilen ve tedarik edilen tüm
   yazılımlar için SBOM zorunluluğu.
2. Artefakt imzalama: Kod imzalama, konteyner imzalama (Sigstore,
   Cosign), yeniden inşa edilebilirlik ve derleme kanıtı (in-toto,
   SLSA çerçevesi).
3. Sıfır güven mimarisi: Tedarikçi yazılımı “içeriden” olsa bile
   sürekli doğrulama ve en az ayrıcalık uygulanması
   (bkz.
   Zero Trust).
4. Ağ segmentasyonu: Tedarikçi yönetim sunucularının kritik
   segmentlere doğrudan erişiminin kısıtlanması.
5. Güncelleme akış izleme: Beklenmeyen güncellemelerin, imza
   değişikliklerinin, yeni ağ bağlantı örüntülerinin uç noktalarda tespit
   edilmesi (EDR,
   XDR).
6. Tehdit istihbaratı: Tedarikçilere yönelik kampanyaların ve
   sızıntı belirtilerinin erken tespiti
   (CTI).
7. Tatbikat: Kritik bir tedarikçinin ele geçirildiği senaryoya
   karşı olay müdahale ekibinin tatbikat yapması.

Yönetici ve BT için kontrol listesi

1. Kritik iş süreçlerinin bağımlı olduğu tedarikçilerin listesi güncel
   mi? Alt yüklenici zinciri şeffaf mı?
2. Kurumda kullanılan tüm yazılımlar için güncel SBOM var mı?
3. Kod imzalama anahtarları HSM’de saklanıyor mu? Anahtarlara erişimi
   olan kullanıcılar sürekli izleniyor mu?
4. Tedarikçi güncellemeleri hangi kanaldan, hangi doğrulama ile
   uygulanıyor?
5. Yönetilen hizmet sağlayıcıların (MSP) uzak erişimi ayrı bir
   segmentte, MFA ile ve zaman sınırlı yetkiyle mi
   gerçekleşiyor?
6. Kritik bir tedarikçi ele geçirildiğinde neyi kapatacağınız, neyi
   yeniden inşa edeceğiniz yazılı ve tatbikatı yapılmış mı?
7. 7545 sayılı Kanun kapsamında bildirim akışında tedarik zinciri
   olayları ayrı bir kategori olarak tanımlı mı?

Sıkça sorulan sorular

Kaynaklar ve doğrulama notu

• CISA — ICT Supply Chain Risk Management ve Software Supply Chain rehberleri.
• NIST SP 800-161 Rev. 1 — Cybersecurity Supply Chain Risk Management Practices.
• ENISA — Threat Landscape for Supply Chain Attacks (yıllık raporlar).
• Mandiant — SolarWinds Sunburst analiz raporu.
• Sophos ve Huntress — 3CX ve Kaseya tedarik zinciri kampanyası analizleri.
• Andres Freund / Openwall — XZ Utils arka kapı keşif raporu (Mart 2024).
• OpenSSF — Software Supply Chain, SLSA çerçevesi ve Alpha-Omega programı.
• SPDX (Linux Foundation) ve CycloneDX (OWASP) — SBOM standart belgeleri.
• Sigstore ve in-toto — Kod imzalama ve derleme kanıtı projeleri.
• Resmî Gazete, 19 Mart 2025, Sayı 32846 — 7545 sayılı Siber Güvenlik Kanunu.
• Cumhurbaşkanlığı Dijital Dönüşüm Ofisi — Bilgi ve İletişim Güvenliği Rehberi.

İçerikte yer alan olay tanımları CISA, ENISA, Mandiant, Sophos ve Huntress raporlarına; XZ Utils açıklaması Andres Freund’un ilk keşif raporuna dayanmaktadır. Türkiye mevzuat çerçevesi Resmî Gazete metni ve BİGR belgesinden aktarılmıştır. Envanter Medya, atfedilmemiş ya da doğrulanmamış olay iddialarını haber olarak sunmaz; bu içerik farkındalık ve savunma perspektifi sunma amaçlıdır.

Son güncelleme: 5 Eylül 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.